Visual Basic(Declaration)
C#
C++
J#
JScript

安全很重要，这不只是对 Microsoft SQL Server 和 Microsoft 而言的，而是对每个产品和每家企业都很重要。遵循简单的最佳做法，可以避免很多安全漏洞。本主题讨论安装 SQL Server 之前和安装 SQL Server 之后应使用的一些最佳安全做法。功能的参考主题中包括了特定功能的安全指南。

安装 SQL Server 前的工作

设置服务器环境时，请遵循以下最佳做法：

• 增强物理安全性



 
• 使用防火墙



 
• 隔离服务



 
• 创建具有最低特权的服务帐户



 
• 配置安全的文件系统



 
• 禁用 NetBIOS 和服务器消息块
   

增强物理安全性

物理和逻辑隔离是构成 SQL Server 安全的基础。若要增强 SQL Server 安装的物理安全性，请执行以下任务：

• 将服务器置于专门的房间，未经授权的人员不得入内。



 
• 将数据库的宿主计算机置于受物理保护的场所，最好是上锁的机房，房中配备水灾检测和火灾检测监视系统或灭火系统。



 
• 将数据库安装在公司 Intranet 的安全区域中，任何时候都不要直接连接到 Internet。



 
• 定期备份所有数据，并将副本存储在远离工作现场的安全位置。
   

使用防火墙

防火墙是保护 SQL Server 安装所不可或缺的。若要使防火墙发挥最佳效用，请遵循以下指南：

• 在服务器和 Internet 之间放置防火墙。



 
• 将网络分成若干安全区域，区域之间用防火墙分隔。先阻塞所有通信流量，然后有选择地只接受所需的通信。



 
• 在多层环境中，使用多个防火墙创建屏蔽子网。



 
• 如果在 Windows 域内部安装服务器，请将内部防火墙配置为允许 Windows 身份验证。



 
• 在所有版本的 Windows 都是 Windows XP、Windows Server 2003 或更高版本的 Windows 域中，禁用 NTLM 身份验证。 .



 
• 如果应用程序使用分布式事务处理，可能必须要将防火墙配置为允许 Microsoft 分布式事务处理协调器 (MS DTC) 在不同的 MS DTC 实例之间以及在 MS DTC 和资源管理器（如 SQL Server）之间进行通信。
   

隔离服务

隔离服务可以降低风险，防止已受到危害的服务被用于危及其他服务。若要隔离服务，请遵循以下指南：

• 请尽可能不要在域控制器中安装 SQL Server。



 
• 在不同的 Windows 帐户下运行各自的 SQL Server 服务。



 
• 在多层环境中，在不同的计算机上运行 Web 逻辑和业务逻辑。
   

创建具有最低特权的服务帐户

SQL Server 安装程序可以自动配置服务帐户或具有 SQL Server 所需特定权限的帐户。修改或配置 SQL Server 2005 使用的 Windows 服务时，应仅授予它们需要的权限。有关详细信息，请参阅设置 Windows 服务帐户。

禁用 NetBIOS 和服务器消息块

边界网络中的服务器应禁用所有不必要的协议，包括 NetBIOS 和服务器消息块 (SMB)。

NetBIOS 使用以下端口：

• UDP/137（NetBIOS 名称服务）



 
• UDP/138（NetBIOS 数据报服务）



 
• TCP/139（NetBIOS 会话服务）
   

SMB 使用以下端口：

• TCP/139



 
• TCP/445
   

Web 服务器和域名系统 (DNS) 服务器不需要 NetBIOS 或 SMB。在这些服务器上，禁用这两个协议可以缓解用户枚举的威胁。有关如何禁用这些协议的详细信息，请参阅如何禁用基于 TCP/IP 的 NetBIOS 和如何禁用服务器消息块。

安装 SQL Server 后的工作

安装完成后，若要增强所安装的 SQL Server 软件的安全性，请遵循以下有关帐户和身份验证模式的最佳做法：

服务帐户

• 以可能的最低特权运行 SQL Server 服务。



 
• 将 SQL Server 服务与 Windows 帐户相关联。
   

身份验证模式

• 连接 SQL Server 时要求 Windows 身份验证。
   

强密码

• 始终给 sa 帐户分配强密码。



 
• 始终启用密码策略检查。



 
• 始终对所有 SQL Server 登录名使用强密码。
   

其他资源

密码策略

© 2006 Microsoft Corporation。保留所有权利。